剑走偏峰之Access注入跨库查询

对目标进行踩点如下:
http://www.abc.com/news/type.asp?typeid=4
UNION字段数为6,前台显示字段为3

http://www.abc.com/news/type.asp?typ ... on select 1,2,admin,4,5,6 from admin
注入点: 只能得到一个字段admin, 无多大用处

此注入点与主站无关，不共用一个数据库

http://www.abc.com/aspcheck.asp
发现探针,显示WEB根目录为c:\root

发现 http://www.abc.com/ 的主站程序为网上公开的某整站管理系统

发现修改过的eWebEditor,路径为 edit/eWebEditor.asp
发现cookie欺骗漏洞, 本机测试通过，对主机欺骗不成功，原因不明,放弃此步骤
网站数据库采用默认的data/#db1.asp
数据库做了防下载处理,管理员表为admin,字段分别为user,pass

总结以上信息，得出结论如下:

主站数据库绝对路径为C:\root\data\#db1.asp
news文件夹下程序与主站程序无关

第二方案:

Access跨库注入
http://www.abc.com/news/type.asp?typ ... on select 1,2,user,4,5,6 from [C:\root\data\%23db1.asp].admin

http://www.abc.com/news/type.asp?typ ... on select 1,2,pass,4,5,6 from [C:\root\data\%23db1.asp].admin

得到用户和MD5密码,登录www.cmd5.com成功破解出密码
在eWebEditor.asp后加一id参数可以上传GIF|JPG|BMP文件
http://www.abc.com/edit/eWebEditor.asp?id=1
用eWebEditor上传一后缀为gif的shell

http://www.abc.com/admin_index.asp
登录后利用数据库备份功能，得到一个shell

此次渗透无多大技术含量，老声常谈而已.......